MX2013011129A

MX2013011129A - Sistema de deteccion de anomalias, metodo de deteccion de anomalias y programa para los mismos.

Info

Publication number: MX2013011129A
Application number: MX2013011129A
Authority: MX
Inventors: Akiyama Kazuhito; Mishina Takuya; Kudoh Michiharu; John David Wilson
Original assignee: Ibm
Priority date: 2011-03-28
Filing date: 2012-01-26
Publication date: 2013-10-30
Also published as: DE112012000772T5; US20130245793A1; CN103443727B; WO2012132527A1; DE112012000772B4; CN103443727A; US9529690B2; US9921938B2; JPWO2012132527A1; KR20130124357A; GB2505340A; US20150033076A1; GB201318332D0; JP5480447B2

Abstract

Como un primer aspecto para proporcionar un sistema de detección de anomalía, un método de detección de anomalía y un programa para los mismos, se provee un sistema de detección de anomalía para detectar una anomalía en una red, el sistema incluye: una pluralidad de sistemas de control industrial (ICS) conectados a la red y un analizador integrado para recibir un estatus de operación de cada ICS como datos de monitoreo, que especifican un ISC sospechoso de tener una anomalía y efectuar determinación de anomalía, en donde el sistema incluye, en cada ICS: una unidad receptora para recibir datos de otros ICS; una unidad de envío para enviar datos a los otros ICS y enviar los datos de monitoreo al analizador integrado; una política de seguridad que incluye reglas de registro y generación de datos y un dispositivo de envoltorio para controlar y enviar los datos a los otros ICS, con referencia a la política de seguridad.

Description

SISTEMA DE DETECCIÓN DE ANOMALÍAS, MÉTODO DE DETECCIÓN DE ANOMALÍAS Y PROGRAMA PARA LOS MISMOS CAMPO TÉCNICO La presente invención es. concerniente con técnicas de detección de anomalías y especialmente se refiere a un método, sistema de detección de anomalías y programas para impedir que un sistema reconocido tenga una anomalía afecte a otros sistemas.

ANTECEDENTES DE LA INVENCIÓN La sociedad moderna es una sociedad computarizada . Como tipos de sistemas que utilizan computadoras hay: un sistema de información usado principalmente en una oficina o los semejantes y un sistema de control industrial (denominado posteriormente en la presente como "ICS") utilizado en una planta de energía, una tubería, una planta química o los semejantes. Cada ICS individual está compuesto de un sistema distinto específico a la industria correspondiente.

La mayoría de los ICS son sistemas que proveen principalmente infraestructuras y así es probable que las fallas o anomalías causen daños humanos y económicos serios. También hay un sistema en el cual una pluralidad de ICS son conectados vía una red e intercambien información entre sí. Una técnica mediante la cual, en el caso en donde datos de un ICS que tiene una anomalía son enviados a otros ICS en tal medio ambiente de operación de una pluralidad de ICS, los ICS receptores son impedidos de ser afectados significativamente es deseable.

Cuando se pone en operación una pluralidad de ICS, la determinación de si un ICS especifico tiene o no una anomalía impone una carga en los recursos de IT y también requiere tiempo de procesamiento, de tal manera que el sistema de ICS mismo no puede efectuar la determinación de anomalía. Para los sistemas de información usuales es posible efectuar constantemente la determinación de anomalías o si hay un sistema sospechoso, aislar el sistema y poner en operación los otros sistemas mientras que el sistema es sospechoso. Esto es sin embargo difícil para ICS que supone que operen continuamente .

Por ejemplo, en el Documento de Patente 1, medios de control de configuración ejecutan un procedimiento para minimizar la pérdida funcional de su propio dispositivo de acuerdo con información de anomalía en el caso en donde un dispositivo monitoreado tiene una anomalía. Sin embargo, la técnica en el Documento de Patente 1 tiene premisas en dos sistemas similares, es decir, un principal y un dependiente, en el caso de una anomalía y no es aplicable a una pluralidad de ICS que son sistemas distintos, diferentes conectados vía una red.

Documentos del arte previo Documentos de Patente Documento de Patente 1: Publicación de Patente Japonesa Sin Examinar No. 2000-214919.

BREVE DESCRIPCIÓN DE LA. INVENCIÓN Problemas a ser resueltos por la invención La presente invención se ha realizado en vista de los problemas mencionados anteriormente y tiene el objeto de proveer un sistema de detección de anomalía, método y programa para controlar la transferencia de datos entre ICS, detectar un ICS sospechoso de tener una anomalía e impedir que los ICS afecten a otros ICS.

La presente invención también tiene por objeto proveer un sistema de detección de anomalía, método y programa para, mientras se efectúa un proceso mínimo de detectar un ICS sospechoso de tener una anomalía mediante la operación de ICS usual, determinar si el ICS tiene realmente o no una anomalía sin afectar a cada ICS.

Medios para resolver los problemas Para resolver los problemas de las técnicas convencionales descritas anteriormente, la presente invención provee un sistema de detección de anomalías que tiene los siguientes elementos. Un sistema de detección de anomalía de acuerdo con la presente invención incluye una pluralidad de sistemas de control industrial (ICS) conectados a una red. El sistema incluye un analizador integrado para recibir un estatus de operación de cada ICS como datos de monitoreo, especificar un ICS sospechoso de tener una anomalía y efectuar la determinación de anomalía, en donde el sistema incluye, en cada ICS: una unidad receptora para recibir datos de otro ICS; una unidad de envío para enviar datos a otros ICS y enviar los datos de monitoreo al analizador integrado; reglas de registro y generación de datos que incluyen política de seguridad y un dispositivo de envoltorio (adapter) para controlar y enviar los datos a otros ICS, con referencia a la política de seguridad.

El sistema incluye medios para que el analizador integrado envié una notificación para cambiar al modo pseudonormal, a el dispositivo de envoltorio del ICS específico, en donde el sistema incluye, en el dispositivo de envoltorio: un controlador de datos para controlar los datos enviados a los otros ICS; un registrador de datos para registrar los datos de la unidad de envío como datos de patrón, con referencia a la política de seguridad y un generador de datos para generar el envío de datos de los datos registrados, con referencia a la política de seguridad y en donde el sistema incluye, en respuesta a la recepción de la notificación para cambiar al modo pseudonormal: medios para que el registrador de datos registre los datos de la unidad de envió como datos reales; medios para que el generador de datos generé el envió de datos de los datos de patrón y medios para que el controlador de datos envíe los datos de envío generados al otros ICS.

En la presente, el sistema incluye medios para que el analizador integrado envié una notificación para detener la operación al ICS especificado, en el caso en donde el ICS especificado sea determinado que tiene anomalía.

Además, el sistema incluye medios para que el analizador integrado envíe una notificación para cambiar a un modo normal al ICS especificado, en el caso en donde el ICS especificado se determina que no tiene ninguna anomalía.

Además, el sistema incluye: medios para que el ICS que recibe la notificación cambie al modo normal, para enviar los datos reales registrados en el modo pseudonormal a los otros ICS simultáneamente y medios para que los ICS que reciben la notificación cambien al modo normal, para cancelar o borrar los datos reales después de la consumación del envío simultáneo .

BREVE DESCRIPCIÓN DE LAS FIGURAS La Figura 1 es un diagrama esquemático de un sistema de acuerdo con una modalidad de la presente invención; La Figura 2 es un diagrama de bloques funcional de un ICS típico convencional; La Figura 3 es un diagrama de bloques funcional de un ICS de acuerdo con la presente invención; La Figura 4 es un diagrama para describir la operación de ICS en tiempo normal; La Figura 5 es un diagrama que muestra un ejemplo de datos enviados de un ICS a otros ICS; La Figura 6 es un diagrama que muestra otro ejemplo de datos enviados de un ICS a otros ICS; La Figura 7 es un diagrama que muestra un ejemplo de una política de seguridad 380 en el caso en donde se sospecha una anomalía, que es referida por un ICS; La Figura 8 es un diagrama que muestra el registro de contenidos de los datos de patrón 360; La Figura 9 es un diagrama que muestra una situación en donde un ICS 140 está efectuando la operación que parece anómala; La Figura 10 es un diagrama de flujo de operación de cada ICS; La Figura 11 es un diagrama de flujo de operación de un analizador integrado 170; La Figura 12 es un diagrama de máquinas físicas de un ICS típico convencional; La Figura 13 es un diagrama que muestra un método mediante el cual el analizador integrado 170 detecta una anomalía de un ICS; La Figura 14 es un diagrama que muestra la operación de un ICS sospechoso de tener una anomalía; La Figura 15 es un diagrama que muestra la operación en el caso en donde se determina que un ICS no tiene anomalía; La Figura 16 es un diagrama de flujo de operación de un ICS que recibe un modo pseudonormal del analizador integrado 170; La Figura 17 es un diagrama de flujo de operación de un ICS que reciba una notificación de sin anomalía del analizador integrado 170 y La Figura 18 es un diagrama de flujo de operación de cada ICS que recibe una notificación de determinación de anomalía del analizador integrado 170.

Modo para llevar a cabo la invención Lo siguiente describe la presente invención por medio de una modalidad, aunque la presente invención no está limitada a esta modalidad.

La Figura 1 es un diagrama esquemático de un sistema de acuerdo con la modalidad de la presente invención. Los ICS 110 a 160 son sistemas de control industrial cada uno de los cuales opera con distintos elementos físicos y un OS (sistema operativo) distinto. Cada ICS tiene no solamente una red por un protocolo distinto sino también una red de propósito general mediante equipo de propósito general, que es conectado a otros ICS y un analizador integra 170 vía una pared de fuego. Cada ICS envía periódicamente datos de análisis que incluyen un estatus de operación de los ICS al analizador integrado 170 como datos de monitoreo. El analizador integrado 170 analiza los datos de monitoreo y especifica un ICS sospechoso de tener una anomalía y es conectado a una política de seguridad 180 que define una acción en el caso en donde se determine que el ICS tiene una anomalía. La política de seguridad 180 es referida por el analizador integrado 170.

La Figura 12 es un diagrama de máquinas físicas de un ICS típico convencional. Un servidor de manejo 1220 se comunica con la red externa vía una pared de fuego 1210. Un servidor de manejo redundante 1230 es también provisto en el caso en que el servidor de manejo 1220 sea defectuoso. El interior del ICS es dividido aproximadamente en una región de red de propósito general 1270 que incluye una LAN de acuerdo con TCP/IP y Ethernet™ y una región de red dedicada 1280 en la cual el equipo dedicado de acuerdo con distintos elementos físicos y un OS distinto es conectado por un protocolo dedicado .

Una HMI (Interfase de Máquina Humana) 1250 conectada al servidor de manejo 1220 muestra resultados de un dispositivo de monitoreo y analizador para varios datos. Una EWS (Estación de Trabajo de Diseño) 1240 efectúa el manejo de la operación y se comunica con cada PLC 1250 para el control de los varios equipos. La red dedicada 1260 es conectada por el controlador lógico programable (PLC 1250) llamado un secuenciador .

El PLC es una máquina de estado, a diferencia de una computadora de von Neumann. Su programa operativo está escrito en un lenguaje de programación para un circuito de revelador. El programa es un resultado de codificación de un circuito eléctrico y asi no puede ser creado por un programador de computadora usual.

El PLC 1250 es conectado con equipo dedicado 1260 y el equipo dedicado 1260 es conectado con un accionador, un controlador y varios sensores. Ejemplos de estos incluyen instrumentos de medición tal como un sensor de temperatura, un sensor de humedad, un sensor de presión, un sensor de acondicionamiento de aire, un medidor de flujo, un manómetro de agua, un iluminómetro, un vatímetro, un contador de uso de potencia, un contador de impresión y un sensor humano, un interruptor de válvula, un controlador de energía térmica, un compresor, una bomba, un motor y un tambor de impresión.

Los ICS son usados no solamente en sistemas de infraestructura tales como una planta química, una planta de energía térmica, una planta de energía hidráulica, una planta de energía nuclear, un sistema de control de reactor y los semejantes, sino también para control de, como ejemplos más familiares, un elevador, una puerta automática, una caldera, un parque temático, varias atracciones, un sistema de impresión y los semejantes. Un sistema de impresión es descrito como un ejemplo en la modalidad de la presente invención .

La Figura 2 es un diagrama de bloques funcional de un ICS típico convencional. El ICS 110 incluye: un receptor 210 (unidad receptora) para recibir datos de otros ICS; un dispositivo de acceso 290 para adquirir datos de un controlador/sensor 295 para monitorear y analizar datos del receptor 210; un protocolo de abstracción 280 para agregar y abstraer datos de varios accesos de datos 290; un modelo de datos de abstracción 270 para abstraer datos del protocolo de abstracción 280 como un modelo de datos y un monitor y analizador 230 para monitorear y analizar datos del modelo de datos de abstracción 270 y datos del receptor 210 para recibir datos de otros ICS; una hilera de acción 250 para almacenar una acción decidida de acuerdo con el resultado del dispositivo de monitoreo y analizador 230; un depósito de datos 260 para registrar varios datos del dispositivo de monitoreo y analizador 230; datos de reporte 240 para registrar un reporte del dispositivo de monitoreo y analizador 230 y un emisor 220 (unidad de envío) para enviar los datos de los datos de reporte 240. Se debe notar que la estructura mencionada anteriormente es una estructura típica y que cada ICS tiene además una estructura de datos distinta y una interfase única.

La Figura 3 es un diagrama de bloques funcional de un ICS de acuerdo con la presente invención. Estructuras únicas a la presente invención que difieren de aquellas de la Figura 2 son un dispositivo de envoltorio 310, el analizador integrado 170, la política de seguridad 180 y una política de seguridad 280. El dispositivo de envoltorio 310 es una estructura para minimizar, cuando los ICS operan anómalamente, su efecto sobre otros ICS.

El dispositivo de envoltorio 310 incluye: un registrador de datos 340 para registrar datos durante la operación normal (modo normal) del ICS a datos de patrón 360 como datos sin procesar, agregar datos y datos estadísticos y un generador de datos 330 para generar datos normales de los datos de patrón 360 durante la operación (modo pseudonormal) en un estado en donde se sospecha una anomalía. Un controlador de datos 320 decide la operación de estos componentes. El controlador de datos 320 controla datos enviados a otros ICS. El controlador de datos 320 recibe datos del emisor 220 y controla los datos enviados para no aceptar a otros ICS. Este control es efectuado de acuerdo con una notificación del analizador integrado 170.

El emisor 220 se refiere a los datos de reporte 240 que son el resultado del dispositivo de monitoreo y analizador 230 que analizan el estatus de operación del ICS y los datos recibidos de otros ICS y si se sospecha que cualquier otro ISC tiene una anomalía, envía la información al analizador integrado 170 al incluirlo en los datos de monitoreo.

El analizador integrado 170 analiza los datos de monitoreo de los dispositivos de envoltura de la pluralidad de ICS, especifica un ICS que parece tener una anomalía y emite una instrucción para cambiar al modo pseudonormal al controlador de datos 320 del ICS. El modo pseudonormal es un modo en el cual, en el caso en donde haya posibilidad de que el ICS opere anómalamente, el ICS envía datos a otros ICS si los ICS son normales.

Cuando se analizan los datos de monitoreo de los dispositivos de envoltura de la pluralidad de ICS, el analizador integrado efectúa una acción dada con referencia a la política de seguridad 180. Una política de seguridad similar es incluida en cada ICS individual. El ICS 300 de la Figura 3 incluye la política de seguridad 380 en la cual acciones dadas efectuadas por el dispositivo de envoltorio 310 y reglas de registro y generación de datos están incluidos. La política de seguridad 380 es actualizada por el analizador integral 170 de acuerdo con las necesidades.

La Figura 4 es un diagrama para describir la operación del ICS en tiempo normal. En primer lugar, el controlador de datos 320 recibe una salida de datos de evento del emisor 220 y envía directamente los datos de eventos a otros ICS. Al mismo tiempo, el registrador de datos 340 almacena los datos de eventos como los datos de patrón 360. Este almacenamiento es efectuado por cualquiera de los métodos de registro para datos sin procesar, datos agregados, datos de muestreo y los semejantes. Estos métodos de registro son únicos para el ICS y son definidos en la política de seguridad 380.

El controlador de datos 320 selecciona el método de almacenamiento en base al tipo de datos de evento con referencia a la política de seguridad 380 y notifica el método de almacenamiento al registrador de datos 340. La política de seguridad 380 es notificada del analizador integrado 170 y actualizado de acuerdo con la necesidad.

Lo siguiente describe la operación de un ICS sospechoso de tener una anomalía, utilizando la Figura 14. En primer lugar, el analizador integrado 170 recibe datos de monitoreo de la unidad de envío de cada ICS. El analizador integrado 170 notifica al dispositivo de envoltorio 310 de un ICS sospechoso de tener una anomalía en base a los datos de monitoreo, para cambiar al modo pseudonormal.

Aquí, preferiblemente el analizador integrado 170 también información (por ejemplo, número de ICS) acerca del ICS sospechoso de tener una anomalía, a los dispositivos de envoltura de los otros ICS. Esto permite que cada ICS que está recibiendo datos del ICS sospechoso de tener una anomalía, reconozca datos recibidos subsecuentemente como datos pseudonormales . El analizador integrado 170 analiza luego si el ICS tiene o no realmente una anomalía. Los datos de monitoreo incluyen preferiblemente información de sospecha de anomalía con respecto a los otros ICS.

La Figura 9 es un diagrama que muestra una situación en donde el ICS 140 está efectuando la operación que parece anómala. Datos diferentes de los datos en tiempo normal son enviados del ICS 140 a los ICS 110 a 130. Cada uno de los ICS 110 a 130 envía información de detección de anomalía con respecto al ICS 140, al incluirla en los datos de monitoreo enviados al analizador integrado. El analizador integrado 170 analiza los datos de monitoreo de cada ICS y notifica el ISC 140 sospechoso de tener una anomalía para cambiar al modo pseudonormal . El analizador integrado 170 analiza luego si el ICS 140 tiene o no realmente una anomalía y efectúa una acción necesaria, con la referencia a la política de seguridad 180.

Después de recibir la notificación para cambiar al modo pseudonormal, el ICS efectúa cualquiera de las operaciones de acuerdo con la política de seguridad, aunque diferente dependiendo de los elementos del ICS.

(?) Enviar los mismos datos simulados como en el tiempo normal.

(B) Enviar datos sin procesar.

(C) No enviar ningún dato.

El caso (A) es descrito en más detalle posteriormente en la presente utilizando la Figura 14. El registrador de datos 340 del ICS sospechoso de tener una anomalía registra los datos de la unidad de envío como datos reales 350. El generador de datos 330 genera, de acuerdo con la política de seguridad 380, datos simulados de los datos sin procesar, datos agregados y datos estadísticos registrados en los datos de patrón 360 y envía los datos simulados a cada ICS. Esto permite cada ICS opere normalmente sin impedimento.

Cuando el analizador integrado 170 envía al ICS y cada uno de los otros ICS una notificación de que no hay ninguna anomalía como resultado del análisis, el ICS regresa al estado en tiempo normal.

La Figura 15 es un diagrama que muestra la operación en el caso en donde se determina que el ICS no tiene ninguna anomalía (en el caso de recibir una notificación para cambiar al modo normal) . El registrador de datos 340 registra datos sin procesar, datos agregados y datos estadísticos en los datos de patrón 360. El dispositivo de envoltorio notifica a cada destino de envío de datos del reemplazo de datos. El generador de datos 330 lee datos de los datos reales 350 que son los datos sin procesar registrados en el modo pseudonormal y envía los datos leídos simultáneamente.

Después de la consumación del envió, el generador de datos 330 abandona los datos reales 350. Después de recibir la notificación de reemplazo de datos, cada ICS retrocede y reemplaza los datos recibidos en el modo pseudonormal con los datos enviados simultáneamente.

En el caso en donde el analizador integrado 170 determina que hay una anomalía como resultado del análisis, el analizador integrado 170 notifica la determinación de anomalía el dispositivo de envoltorio del ICS y el dispositivo de envoltorio de cada uno de los otros ICS y también efectúa una acción dada, de acuerdo con la política de seguridad 180. El ICS que opera anómalamente, después de ser traído a una parada de emergencia, espera un proceso de reparación humano o de la máquina. Cada ICS que recibe datos en el modo pseudonormal retrocede y cancela los datos requeridos en el modo pseudonormal.

Los actores que provocan una anomalía de un ICS incluyen una falla de un sensor o un contador, manipulación, violación de datos, ataque físico y robo por un usuario malicioso o elementos de programación pirata y así sucesivamente. Una pluralidad de métodos (umbral, regla y situación) están disponibles como métodos para detectarlos.

La Figura 13 es un diagrama que muestra un método mediante el cual el analizador integrado 170 detecta una anomalía de un ICS. Un ejemplo de principalmente utilizar umbrales es mostrado en la Figura 13. En el caso en donde un valor inusual es detectado en comparación con datos estadísticos, se determina que hay una anomalía.

Por ejemplo, el caso en donde el número de páginas impresas por día no es menor de 10,000, el número de atoramientos no es menor de diez, el tiempo para la recuperación no es menor de 2 horas o el uso de energía no es menor de 5 kW es determinado como una anomalía. También hay un método de detección de anomalía por comparación de datos de correlación. Ejemplos de esto incluyen el caso de uso de pigmento orgánico anormal o el caso en donde un usuario está operando en una pluralidad de locaciones.

También hay detección de anomalía de acuerdo son signos de ataque. Ejemplos de esto incluyen un número predeterminado o más de presencia de incidentes de seguridad, el número de cambios de configuración, incluyendo ENCENDIDO/APAGADO y desconexión de red, el número de instalaciones/desinstalaciones de elementos de programación. El analizador integrado 170 recibe los datos de monitoreo de la unidad de envío de cada ICS individual y calcula estadística y de manera agregada si el umbral de la Figura 13 está siendo o no excedido para determinar si hay o no una anomalía. Estos umbrales están incluidos en la política de seguridad 180. Las diferencias entre la política de seguridad 180 y la política de seguridad 380 de cada ICS individual radica en que la información de detección de anomalía estadística mencionada anteriormente es provista y que la política de seguridad 380 incluye una política única al sistema de cada ICS.

La Figura 5 muestra un ejemplo de datos enviados de un ICS a otros ICS. Por ejemplo, se indica en un evento ID 1001 que un atascamiento de papel es recuperada como un evento de datos sin procesar al tiempo 2010/10/01 09:05:40 en un dispositivo ID MFPOOOl. Con respecto a registros de datos agregados y datos estadísticos, se indica en un ID de registro ID 2001 que una impresión de un solo lado monocromática de 5 páginas es efectuada por el usuario B como un trabajo de impresión en la ID dispositivo MFPOOOl.

La Figura 6 muestra otros datos enviados de un ICS a otros ICS. Comandos de control mostrados en la Figura 6 son también registrados en la hilera de acción 250 por el dispositivo de monitoreo y analizador 230. Mientras tanto, los datos de análisis son registrados en el depósito de datos 260 y también usados para los datos de reporte 240.

La Figura 7 muestra un ejemplo de la política de seguridad 380 en el caso en donde se sospecha de una anomalía, que es referida a cada ICS. Un campo de ICS objetivo muestra un nombre único del ICS, un campo de datos objetivo muestra cuales datos son datos objetivo, un campo de datos necesario muestra cuales datos van a ser enviados, un campo de almacenamiento de datos muestra si se requiere o no almacenamiento de datos y cuales datos van a ser almacenados, un campo de generación de datos muestra un método de generación de datos de generador de datos 330 y un campo de datos simulados muestra una frecuencia de envío de datos realmente enviados.

Esto es, la política de seguridad 380 incluye la definición de qué clase de datos simulados son enviados en el modo pseudonormal y cuales son registrados para enviar los datos simulados, además de la política de seguridad única para el ICS. La política de seguridad 380 que incluye tales reglas de generación y registro de datos son actualizados apropiadamente por el analizador integrado 170.

Por ejemplo, hay las siguientes variaciones de la generación de datos simulados.

(A) Datos no enviados debido a que no tienen significados para un evento o control para el cual un proceso ocurre instantáneamente.

(B) Envío de datos sin procesar en el caso en donde los datos en tiempo normal por sí mismos son necesarios.

(C) Datos filtrados enviados (mínimos, máximos, promedio, últimos, generados aleatoriamente) .

(D) Datos enviados por unidad de tiempo, diariamente, semanalmente, promedio, agregado/estadístico.

De esta manera, los datos registrados/almacenados en tiempo normal son decididos de acuerdo con los elementos de cada ICS, para decidir como el generador de datos 330 genera datos simulados de los datos almacenados.

La Figura 8 muestra el registro de contenido de los datos de patrón 360. Los datos de patrón 360 son registrados en base a la política de seguridad 380 para cada ICS. Como se muestra en la Figura 8, los datos objetivo registrados/almacenados difieren dependiendo del ICS. El número de páginas impresas en total y los valores estadísticas son registrados en el ICS A, mientras que los datos sin procesar de impresión son registrados en el ICS B. Esto es debido a que los trabajos de impresión son designados como los datos de almacenamiento objetivo y la generación de datos correspondientes es diariamente en la política de seguridad del ICS A de la Figura 7. Nótese que los datos de control son generados aleatoriamente al tiempo de generación de datos y así no son registrados.

Por otra parte, los datos sin procesar son designados como los datos de almacenamiento objetivo y la generación de datos correspondiente de tiempo real en la política de seguridad del ICS B de la Figura 7. Así, los datos de patrón son registrados en base a la política de seguridad 380 de acuerdo con los elementos de cada ICS.

La Figura 10 es un diagrama de flujo de operación de cada ICS. En la etapa 1010, el receptor recibe datos de otros ICS. En la etapa 1020, el dispositivo de monitoreo y analizador analiza si los datos de los otros ICS muestran o no una anomalía. En la etapa 1030, en el caso de una anomalía, el ICS envía datos de monitoreo que incluyen no solamente su información de estatus de operación sino también información de los ICS que muestran una anomalía, al analizador integrado 170.

La Figura 11 es un diagrama de flujo de operación del analizador integrado 170. En primer lugar, en la etapa 1110, el analizador integrado 170 recibe datos de monitoreo de cada ICS. Enseguida, en la etapa 1120, el analizador integrado 170 determina si se sospecha o no de una anomalía de los datos de monitoreo. Los datos de monitoreo incluyen un número de ICS sospechosos de tener una anomalía y varios valores de datos. En la determinación de sospecha de anomalía, en el caso en donde la información de un ICS muestra que una anomalía está incluida en los datos de monitoreo de un ICS, el analizador integrado 170 determina que sospecha de una anomalía. En el caso en donde la información de un ICS que muestra una anomalía no está incluida en los datos de monitoreo de un solo ICS y los datos de monitoreo exceden significativamente un umbral, el analizador integrado 170 determina igualmente que sospecha de una anomalía.

En el caso en donde no se sospecha de ninguna anomalía en la etapa 1120, el analizador integrado 170 termina el proceso. En el caso en donde se sospecha de una anomalía en la etapa 1120, en la etapa 1130, el analizador integrado 170 determina un número de ICS de un ICS sospechoso de tener una anomalía. Enseguida, en la etapa 1140, el analizador integrado 170 notifica al controlador de datos del ICS sospechoso de tener una anomalía, para cambiar al modo pseudonormal . Preferiblemente, el analizador integrado 170 también envía la información a los otros ICS. Los otros ICS reconocen datos de los ICS sospechosos como datos enviados en modo pseudonormal .

En la etapa 1150, el analizador integrado 170 analiza si el ICS sospechoso o no de tener una anomalía realmente tiene una anomalía. En la etapa 1160, el analizador integrado 170 verifica si se determina o no que existe una anomalía en el ICS. En el caso en donde se determina que existe la anomalía en el ICS, en la etapa 1180, el analizador integrado 170 ejecuta una acción dada con referencia a la política de seguridad 180. En el caso en donde se determina que no existe la anomalía en el ICS, en la etapa 1170, el analizador integrado 170 notifica al ICS sospechoso de tener una anomalía que cambia al modo normal y termina el proceso. Preferiblemente, el analizador integrado 170 también envía la notificación de no anomalía a los otros ICS.

La Figura 16 es un diagrama de flujo de operación de un ICS que recibe el modo pseudonormal. En primer lugar, en la etapa 1610, el ICS recibe la notificación para cambiar al modo pseudonormal . Enseguida, en la etapa 1620, el registrador de datos 340 registra los datos reales 350. Además, en la etapa 1630, el generador de datos 330 genera datos simulados de los datos de patrón 360. En la etapa 1640, el controlador de datos 320 envía los datos simulados generados .

La Figura 17 es un diagrama de flujo de operación de un ICS que recibe la notificación para cambiar al modo normal del analizador integrado 170. En primer lugar, en la etapa 1710, el ICS recibe la notificación de cambio a modo normal del analizador integrado 170. Enseguida, en la etapa 1720, el dispositivo de envoltorio envía la notificación de reemplazo de datos a cada destino de envío de datos. En la etapa 1730, el generador de datos 330 lee datos de los datos reales 350 que son los datos sin procesar registrados en el modo pseudonormal. En la etapa 1740, el controlador de datos 320 envía los datos simultáneamente. Finalmente, en la etapa 1750, los datos reales 350 son borrados.

Preferiblemente, el controlador de datos 320 notifica a cada ICS de destino de envío que los datos reales van a ser enviados simultáneamente. Enseguida, en la etapa 1740, el controlador de datos 320 envía los datos simulados a cada ICS de destino de envío simultáneamente. Cada ICS de destino de envío reemplaza (retrocede y reemplaza) los datos recibidos en el modo pseudonormal con los datos reales enviados simultáneamente. En la etapa 1750, los datos reales 350 son abandonados .

El ICS anómalo que recibe la notificación de determinación de anomalía del analizador integrado 170 entra a un estado de parada de operación. La Figura 18 es un diagrama de flujo de operación de cada uno de los otros ICS que reciben la notificación de determinación de anomalía del analizador integrado 170. En primer lugar, en la etapa 1810, el ICS recibe la notificación de determinación de anomalía. Enseguida, en la etapa 1820, el ICS retrocede y cancela los datos recibidos en el modo pseudonormal del ICS anómalo.

Como se describe anteriormente, de acuerdo con la modalidad de la presente invención, es posible proveer un sistema de detección de anomalía, un dispositivo de detección de anomalía, un método de detección de anomalía, un programa y un medio de registro para detectar eficientemente un ICS sospechoso de tener una anomalía en un sistema y provocar que una acción dada sea ejecutada para no afectar a otros ICS.

El EWS de computadora y HMI en la región de red de propósito general en el ICS y el analizador integrado de acuerdo con la modalidad en la presente invención pueden tener la misma estructura como una computadora usada en un sistema de información como una estructura de elementos de programación, esto es, puede ser implementado por una computadora típica que incluye un CPU, una memoria, un dispositivo de almacenamiento externo, una línea de distribución principal y una interfase de comunicación.

Además, un dispositivo de detección de anomalía es provisto al cargar un programa ejecutable por computadora a un dispositivo de computadora para realizar cada unidad funcional. Tal programa puede ser realizado por un programa ejecutable por computadora escrito en un lenguaje de programación tal como FORTRAN, COBOL, PL/I, C, C++, Java®, Perl, Ruby o los semejantes y almacenado en un medio de grabación que se puede leer por dispositivo y distribuido.

Aunque la presente invención ha sido descrita por medio de la modalidad de ejemplos mostrados en las figuras, la presente invención no está limitada a la modalidad mostrada en las figuras. Cualesquier modificaciones y modos concebibles por una persona experimentada en el arte están incluidas en el alcance de la presente invención en tanto que se obtengan las ventajas operacionales de la presente invención.

Descripción de números de referencia 110 a 160, 300 ICS 100 sistema de detección de anomalía 102 red 110 servidor de manejo 170 analizador integrado 180 política de seguridad 210 receptor (unidad receptora) 220 emisor (unidad de envío) 230 analizador 240 datos de reporte 250 hilera de acción 260 depósito de datos 270 abstracción del modelo de datos 280 abstracción de protocolo 290 acceso del dispositivo 295 sensor 310 dispositivo de envoltorio 320 controlador de datos 330 generador de datos 340 registrador de datos 350 datos reales 350 datos reales enviados 360 datos de patrón 380 política de seguridad 1210 pared de fuego 1220 servidor de manejo 1230 servidor de manejo redundante 1250 PLC 1270 región de red de propósito general 1280 región de red dedicada

Claims

REIVINDICACIONES

1. Un sistema de detección de anomalías para detectar « una anomalía en una red, el sistema está caracterizado porque comprende : una pluralidad de sistemas de control industrial (ICS) conectados a la red y un analizador integrado para recibir un estatus de operación de cada ICS como datos de monitoreo, que especifican un ICS sospechoso de tener una anomalía y efectuar la determinación de anomalía, en donde el sistema comprende, en cada ICS: una unidad receptora para recibir datos de otras ICS; una unidad de envío para enviar datos a los otros ICS y enviar los datos de monitoreo al analizador integrado; una política de seguridad que incluye reglas de registro y generación de datos y un dispositivo de envoltorio para controlar y enviar los datos a los otros ICS, con referencia a la política de seguridad.

2. El sistema de acuerdo con la reivindicación 1, caracterizado porque comprende medios para que el analizador integrado envíe una notificación para cambiar a un modo pseudonormal al dispositivo de envoltorio del ICS especificado, en donde el sistema comprende, en el dispositivo de envoltorio : un controlador de datos para controlar los datos enviados a los otros ICS; un registrador de datos para registrar los datos de la unidad de envío como datos de patrón, con referencia a la política de seguridad y un generador de datos para generar datos de envío de los datos registrados, con referencia a la política de seguridad y en donde el sistema comprende, en respuesta a la recepción de la notificación para cambiar al modo pseudonormal : medios para que el registrador de datos registre los datos de la unidad de envío como datos reales; medios para que el generador de datos genere los datos de envío de los datos de patrón y medios para que el controlador de datos envíe los datos de envío generados a los otros ICS.

3. El sistema de acuerdo con la reivindicación 2, caracterizado porque comprende medios para que el analizador integrado envíe una notificación para detener la operación al ICS especificado en el caso en donde se determine que el ICS especificado tiene una anomalía.

4. El sistema de acuerdo con la reivindicación 2, caracterizado porque comprende medios para que el analizador integrado envíe una notificación para cambiar al modo normal al ICS especificado en el caso en donde se determine que el ISC especificado no tiene ninguna anomalía.

5. El sistema de acuerdo con la reivindicación 4, caracterizado porque comprende: medios para que el ICS que recibe la notificación cambie al modo normal, para enviar los datos reales registrados en el modo pseudonormal a los otros ICS simultáneamente y medios para que el ICS que recibe la notificación cambie al modo normal, para borrar los datos reales después de consumar el envío simultáneo.

6. El sistema de acuerdo con la reivindicación 5, caracterizado porque comprende medios para que los otros ICS reemplacen los datos enviados del ICS especificado en el modo pseudonormal con los datos reales enviados simultáneamente.

7. Un método para detectar una anomalía en un sistema de computadora conectado vía una red, el método está caracterizado porque comprende: una pluralidad de sistemas de control industrial (ICS) conectados a la red y un analizador integrado para recibir un estatus de operación de cada ICS como datos de monitoreo, que especifican un ICS sospechoso de tener una anomalía y efectuar determinación de anomalía, en donde el método comprende, en cada ICS: una etapa de recibir datos de otros ICS; una etapa de enviar datos a los otros ICS y enviar los datos de monitoreo al analizador integrado; una política de seguridad que incluye reglas de registro y generación de datos y una etapa de controlar y enviar los datos a los otros ICS, con referencia a la política de seguridad.

8. Un programa de computadora para detectar una anomalía en una pluralidad de sistemas de control industrial (ICS) conectados a una red, el programa está caracterizado porque comprende: un analizador integrado para recibir un estatus de operación de cada ICS como datos de monitoreo, que especifican un ICS sospechoso de tener una anomalía y efectuar la determinación de anomalía y una política de seguridad provista en cada ICS y que incluye reglas de registro y generación de datos, el programa provoca que una computadora de cada ICS ejecute: una función de recibir datos de otros ICS; una función de enviar datos a los otros ICS y enviar los datos de monitoreo al analizador integrado y una función de controlar y enviar los datos a los otros ICS, con referencia a la política de seguridad.

9. Un medio de grabación que se puede leer por computadora caracterizado porque almacena el programa de computadora de acuerdo con la reivindicación 8.